最新情報

デベロッパーはパイプライン内の個別の手動ジョブにパラメータを設定できないため、簡単なパラメータ変更でも高コストなパイプライン全体の再実行が必要になります。一部の入力パラメータは、以前のジョブが完了するまで不明であり、パイプラインコンテキストに基づくリアルタイムの決定が必要です。ジョブレベルの入力により、実行中にパラメータが変更される場合の動的パラメータ設定が可能になります。現在取り組んでいる内容：

複数のアップストリームレジストリにわたるコンテナイメージ管理は複雑さと不整合を生み出します。Docker仮想レジストリは、Docker Hub、Harbor、Quayなどの複数のソースからのイメージを、インテリジェントなキャッシュと管理機能を備えた単一のインターフェースを通じて集約します。計画している内容：

複数のnpmソースにわたって依存関係を管理するJavaScript/Node.jsチームは、一貫性のない解決と設定オーバーヘッドに直面しています。npm仮想レジストリは、パッケージ依存関係の単一の信頼できるソースを提供します。これは、JFrog ArtifactoryからGitLabに移行する組織にとって重要な機能です。含める予定の内容：

Wikiの議論は関連コンテンツから離れた場所で行われるため、効果が低下し、コンテキストの切り替えが増加します。インラインコンテキストコメントにより、ハイライトされたテキストに直接結び付けられたスレッド議論が可能になり、会話を参照するコンテンツに接続し続けます。取り組んでいる内容：

悪意のあるパッケージによるサプライチェーン攻撃は即座のリスクをもたらします。数か月間休眠状態にある可能性があるCVEとは異なり、悪意のあるパッケージは取り込まれた瞬間に害をもたらします。GitLabは依存関係スキャン結果で悪意のあるパッケージを直接表示し、チームが本番システムを侵害する前にアクティブな脅威を特定して対応できるようにします。パイプラインで計画されている内容：

セキュリティマネージャーは、手動でのプロジェクトごとの設定なしに、大規模にシークレットプッシュ保護をデプロイする必要があります。スキャン設定プロファイルは、YAMLの変更や開発者の介入を必要とせずに、セキュリティインベントリを通じた一括有効化を導入し、プロジェクトを保護します。現在構築している内容：

シークレットプッシュ保護がリアルタイムでコミットをブロックする一方で、パイプラインスキャンはリポジトリ履歴とパイプラインアーティファクトでシークレットを検出することで補完的なカバレッジを提供します。このプロファイルにより、セキュリティマネージャーは同じプロファイルベースのアプローチを通じてプロジェクト全体で広範なシークレット検出を有効化でき、設定オーバーヘッドなしに多層防御を作成できます。進行中の機能：

SASTはアプリケーションセキュリティの基盤であり続けますが、CI/CD設定要件が導入障壁を作成します。SASTスキャンプロファイルにより、セキュリティマネージャーはセキュリティインベントリを通じてプロジェクト全体で静的解析をデプロイでき、自動言語検出とUltimateティアでサポートされる言語の高度なSAST有効化が可能になります。今後のリリースで計画されている内容：

セキュリティチームは現在、新規プロジェクトでシークレットプッシュ保護が有効化されていることを確認するために定期的なチェックを実行しています。これは手動プロセスであり、カバレッジギャップを作成します。完了時には、新しいプライベートUltimateプロジェクトでシークレットプッシュ保護がデフォルトで有効化され、特定の要件を持つチームのためにプロジェクト作成時にオプトアウトが利用可能になります。取り組んでいる内容：

シークレット検出で誤検出を経験するチームは、保護を完全に無効化することなく、特定のパスと値を除外する機能が必要です。設定プロファイルは除外をサポートし、チームが広範なカバレッジを維持しながら検出を調整できるようにします。現在取り組んでいる内容：

デフォルトの脆弱性重要度は、常に組織のリスク優先度を反映するとは限りません。セキュリティチームは、KEV/EPSS、CVSS、到達可能性、CVE、CWE、スキャンタイプを含むルールに基づいて重要度の上書きを自動化でき、以前に手動介入が必要だったトリアージプロセスを自動化しながら、リスクをビジネスニーズにマッピングできます。今後のリリースで計画されている内容：

パターンベースのシークレット検出は、認識可能な形式を欠くadmin_password=Password123!のような汎用パスワードを見逃します。コンテキスト認識検出は、周囲のコードパターンと変数命名規則を分析することで汎用パスワードを特定し、シークレット検出カバレッジの重要なギャップを埋めます。現在パイプラインにある内容：

read_apiやapiのような広範なPATスコープは、トークンが侵害された場合に過度の影響範囲を作成します。詳細権限により、必要なリソースと操作のみへの特定のアクセスを持つトークンが可能になり、特定のプロジェクトとグループに制限され、異なるリソースタイプの読み取りと書き込みの正確な組み合わせが可能です。今後の予定：

シークレットにCI変数を使用するチームは、適切なライフサイクル管理、ローテーション通知、詳細なアクセス制御を欠いています。GitLab Secret Managerは、有効期限管理、環境/ブランチスコープ、ロールベース権限を備えた専用のシークレットストレージを提供し、CIワークフローでのサードパーティシークレットマネージャーへの依存を削減します。進行中の機能：

SLSA証明を生成する組織には、配布と検証機能が必要です。証明API、UI統合、glab検証サポートにより、消費者がアーティファクトを検証できるようになり、証明生成から検証までのサプライチェーンセキュリティワークフローが完成します。含める予定の内容：

組織は、アプリケーション、事業部、開発チームによってビジネスコンテキストで分割された可視性を欠いています。セキュリティ属性フィルタリングにより、ビジネス論理エンティティによる脆弱性と依存関係のフィルタリングが可能になり、フィルタリングされたビューをブックマークするためのURLサポートとダッシュボードクリックスルーサポートが提供されます。現在計画されている内容：

LOW重要度脆弱性から拡張し、自動修復は設定可能な重要度レベルとバージョンターゲットをサポートするようになりました。ユーザーは依存関係バンプのためにグループ化または個別のMRを選択でき、UI インジケーターが自動修復された脆弱性をハイライトします。今後のリリースで計画されている内容：

Dart/Flutterライセンス情報は現在UNKNOWNとして表示され、チームを外部データソースに強制しています。pubパッケージマネージャーのライセンススキャンサポートにより、DartとFlutter依存関係の正確なライセンス可視性が可能になります。含める予定の内容：

大規模リポジトリでの高度なSAST分析は、パイプラインジョブ時間制限を超える可能性があります。増分スキャンは以前のスキャンからの結果をキャッシュし、変更されたコードのみを分析することで、正確な結果を生成しながらスキャン時間を大幅に削減します。含める予定の内容：

セキュリティダッシュボードには、ステークホルダーコミュニケーションとコンプライアンス文書化のためのエクスポート可能な形式が必要です。PDFエクスポートは、適用されたフィルターとグループ化設定でダッシュボードパネルを複製し、オフライン共有とアーカイブを可能にします。進行中の機能：

エクスプロイト可用性、脅威アクター活動、CVSS強化を含む追加データシグナルを通じた強化された脆弱性インテリジェンスにより、プレミアムソリューションとしてのアドバイザリデータベースの価値提案が向上します。今後の予定：

セキュリティチームは、テスト認証情報やダミー値であることが判明するシークレット検出結果のトリアージに多大な時間を費やしています。AI搭載誤検出判定は、開発者が見る前に結果を分析し、明確な説明と信頼度スコアでテスト認証情報、サンプル値、プレースホルダーシークレットを特定し、シグナル対ノイズ比を劇的に改善します。取り組んでいる内容：

同じ脆弱性パターンがコードベース全体に現れる場合、各インスタンスに個別のマージリクエストを作成することは、レビュー疲労を生み出し、修復を遅らせます。GitLab Duoは、共有された根本原因によって関連するSAST結果をインテリジェントにグループ化し、関連する脆弱性に対処する単一のマージリクエストを生成し、散在する修正を協調的な修復に変換します。含める予定の内容：

自動化された依存関係バンプは、破壊的変更によりCI/CDパイプラインで失敗することが多く、セキュリティ修復を遅らせる手動介入が必要になります。依存関係バンプMRが失敗した場合、AIはパイプラインエラーと依存関係変更ログを分析して、互換性問題を解決するコード修正を自動生成し、脆弱性を修復するための手動作業を大幅に削減します。構築している内容：